Identități VPN separate pentru o echipă mică, fără director

Șase persoane împart o singură autentificare VPN, una dintre ele pleacă, iar singurul mod de a-i elimina accesul este să schimbi secretul pe care îl folosesc toți ceilalți. Aceasta este problema reală și nu are nevoie de Active Directory ca să fie rezolvată. Un birou mic poate ține identități separate în orice depozit local pe care îl acceptă gateway-ul său și poate trata plecările ca rutină. Munca stă în alegerea depozitului și în scrierea pașilor de eliminare înainte de a avea nevoie de ei.

Începeți cu acreditarea pe care o are fiecare

Înainte de a alege un backend, notați cu ce se conectează fiecare persoană. Un laptop, un telefon, poate un desktop acasă, iar fiecare dintre ele este o acreditare separată sau un certificat de dispozitiv separat. Dacă nu puteți numi acreditarea pe care o are o persoană, nu o veți putea elimina mai târziu.

Două persoane care împart un profil este cazul care face fiecare pas următor mai dificil. Rezolvați asta mai întâi, pentru că niciun director nu rezolvă un secret partajat.

Alegeți depozitul pe care gateway-ul îl acceptă cu adevărat

Alegeți depozitul de identități pe care gateway-ul îl acceptă deja, nu pe cel pe care ați vrea să îl rulați. Un gateway cu o bază de utilizatori locală poate ține conturi individuale cu politică pentru fiecare utilizator. O implementare IKEv2 poate asocia o identitate EAP unui anumit secret, cu condiția ca metoda clientului și verificatorul să se potrivească. Configurațiile bazate pe certificate pot emite un certificat pe dispozitiv de la o autoritate comună, ceea ce menține ancora de încredere partajată în timp ce acreditările rămân separate.

Locația depozitului contează mai puțin decât operațiunile lui: înregistrarea, copia de rezervă, reînnoirea și revocarea. Dacă vreuna dintre ele nu are răspuns, alegerea nu este terminată.

Dacă gateway-ul oferă atât conturi locale, cât și certificate, preferați-l pe cel pe care echipa voastră îl poate opera la ora două dimineața fără furnizorul la telefon. Această preferință ține de timpul de recuperare, nu de care opțiune este tehnic mai puternică.

Separați persoana de dispozitive

Decideți ce reprezintă o acreditare: o persoană, un dispozitiv sau ambele. Laptopul și telefonul unui angajat sunt două dispozitive și o persoană, iar pierderea telefonului nu ar trebui să dezactiveze neapărat laptopul. Scrieți acest model, pentru că el determină ce înseamnă eliminarea.

Înregistrați proprietarul, dispozitivul, data emiterii și calea de revocare pentru fiecare acreditare. Țineți acel registru undeva unde biroul îl poate citi fără persoana care l-a configurat. Un tabel cu aceste patru coloane este suficient pentru șase persoane și încă se extinde la șaizeci.

Faceți din eliminare o operațiune obișnuită

Scrieți procedura de plecare înainte de prima plecare. Dezactivați identitatea, încheiați orice sesiune activă și confirmați că tunelul chiar cade în loc să așteptați un cronometru de reautentificare. Apoi verificați că acreditarea veche eșuează de pe o mașină din afara rețelei biroului. Întreaga secvență ar trebui să dureze câteva minute și să nu ceară o nouă emitere pentru nimeni altcineva.

sudo swanctl --terminate --ike alice-laptop

Păstrați o cale de recuperare de administrator care nu depinde de contul dezactivat și împăcați conturile locale care mai târziu se mută într-un director. Scopul este simplu: eliminarea unei persoane este o sarcină de rutină, nu un proiect care atinge profilul tuturor celorlalți. Autentificarea locală din Access Server este un exemplu documentat de depozit care se potrivește acestei forme.